Autorizar no es autenticar

Autenticar es comprobar quién es alguien: una contraseña, un segundo factor, una llave de seguridad. Autorizar es decidir qué puede hacer. OAuth 2.0 (RFC 6749) resuelve lo segundo: es un marco de autorización delegada. Una persona permite que una aplicación acceda a un recurso suyo sin entregarle su contraseña. El resultado no es «esta persona se identificó», sino un permiso acotado para la aplicación.

Por eso usar OAuth 2.0 solo como prueba de que alguien inició sesión es un error de diseño: el token de acceso le dice a una API qué se permite, no necesariamente quién está frente a la pantalla. La identidad se añade con otra capa, OpenID Connect, que verás en la sala 4.

El marco describe cuatro papeles. El propietario del recurso es quien tiene los datos y puede concederlos, normalmente una persona. El cliente es la aplicación que quiere acceder (en OAuth se llama cliente aunque sea un servidor). El servidor de autorización autentica al propietario, le pide su consentimiento y emite los tokens. El servidor de recursos es la API que guarda los datos y acepta o rechaza un token.

Abre el laboratorio y lee la tabla aplicaciones: las cuatro filas son clientes. Cada uno tiene un tipo. Un cliente confidencial puede guardar un secreto en un servidor propio; uno público corre en un teléfono o en el navegador y no puede.

Un alcance (scope) es el nombre de un permiso: calendario.lectura no es lo mismo que calendario.escritura. La aplicación pide los que cree necesitar y el servidor de autorización le muestra a la persona una pantalla de consentimiento con esa lista. Lo que la persona acepta queda en el registro.

El consentimiento sirve de poco si lo que se pide es más de lo necesario: la gente suele aceptar sin leer. La defensa es de quien registra la aplicación: pedir el mínimo y revisarlo. En el laboratorio, la tabla alcances_concedidos trae una columna donde el dueño de cada aplicación marcó si el alcance es necesario para su función. Busca el alcance que da acceso a todos los archivos de la persona.

Cada fila de alcances_concedidos dice cuántas veces un usuario aceptó ese alcance. Las filas marcadas «no» en la columna necesario_para_su_funcion son permisos que la aplicación no usa pero que quedaron concedidos. Cada una es una superficie que no hacía falta abrir: si esa aplicación se compromete, el permiso viene incluido.

Suma las concesiones de todas las filas marcadas «no».